JP2008219150A - 移動体通信システム、ゲートウェイ装置及び移動端末 - Google Patents

Abstract

【課題】複数の無線システムを同時・あるいは切り替えながら移動端末と通信相手とのパケットを中継するゲートウェイ装置において、移動端末とゲートウェイ装置間でＩＰｓｅｃを利用する無線システムがある場合に、ＩＰｓｅｃの不要な無線システムにも適用してしまうことにより、不要な処理や効率が低下してしまう。
【解決手段】ゲートウェイ装置のセキュリティポリシーデータベースのセレクタに無線システムあるいはインタフェースを指定できるようにし、ＩＫＥによってＩＰｓｅｃの設定を行った移動端末に関するエントリをセキュリティポリシーデータベースに追加する際に反映する。あるいは、経路表にセキュリティポリシーデータベースを参照するか・否かを示す項目を設ける。
【選択図】図１

Description

本発明は、無線通信を利用した通信システムに係り、さらに詳しくは複数の無線通信システムを切り替えて、又は同時に利用可能な無線システムにおいて、利用される無線通信システム応じて移動端末とゲートウェイ間の暗号化・認証化通信と非暗号化通信とを切り替えて通信するシステムに関する。

近年ノート型パソコンやＰＤＡ（Personal Digital Assistant）のような小型軽量の端末の普及やインターネットの爆発的な普及により、自宅やオフィス以外の外出先においても端末を使用できる環境が整備されている。また、第３世代携帯電話、ＰＨＳ、無線ＬＡＮを利用したホットスポットサービスなど公衆無線システムとして利用可能な無線システムが増加しており、その普及と共にさまざまな規格やサービスが登場している。さらに、ＷｉＭＡＸ（ＩＥＥＥ８０２．１６ｅ）に代表されるＯＦＤＭ（直行周波数分割多重）を利用した広帯域で高速な無線のサービスや、４Ｇと呼ばれる第４世代携帯電話システムに向けて新たな周波数帯の割り当て、標準化・研究開発が進んでおり、今後も新たなシステムの登場が予想される。

このような新たな無線システムは、既存のシステムと共存しながら普及が進むと考えられ、複数の高速な無線システムを利用可能な環境が提供されていく。移動端末においても、ソフトウェアラジオやリコンフィギュラブル・プロセッサと呼ばれる技術により、ハードウェアを変更することなしに、様々な無線方式や機能を追加したり、利用される無線システム変更したりすることが可能となりつつある。

一方、移動体通信システムを利用する端末の増加や通信速度の高速化に従って、電波資源の需要が拡大しており、利用可能な無線周波数が逼迫している。その解決策の一つとしてコグニティブ無線と呼ばれる技術が注目されている。コグニティブ無線では、無線通信環境を認識することによって、地域、周波数及び時間ごとに周波数の利用状況を踏まえて動的に無線システムを選択し、切り替えながら通信するものである。このように、複数の無線システムを同時に利用したり、切り替えたりしながら通信相手と所望の品質を得て通信することが必要となっている。

上記のように複数の無線システムを同時に利用したり、あるいは動的に利用システムを切り替えて利用したりする場合で、移動端末と通信相手とに接続して移動端末宛のパケットを中継しているゲートウェイは、各無線システムの状態に応じて動的に無線システムを選択し、通信経路及びインタフェースを切り替える。このような動作を行う移動端末に対して、通信経路又は無線通信システムに依存しないＩＰアドレスを割り当てることによって、通信相手に対して移動端末が使用している無線システムの変化を隠蔽し、無線端末と通信相手の通信が中断したり、ＩＰアドレスの変化を相手に通知したりすることなく通信を継続することができる。このような機能を実現するために、ゲートウェイシステムは、モバイルアンカーポイントと呼ばれる機能を提供し、移動端末宛に割り当てられたＩＰアドレスを無線システムに依存することなく中継するようにシステム設計を行うことが考えられる。

このときに、移動端末とゲートウェイ間の通信経路によっては、例えば、無線ＬＡＮのように暗号化に対応していない基地局や、暗号化を利用している場合でも基地局の使用者間で同じ暗号鍵情報を利用している場合には、通信内容を容易に傍受することができる。このことを回避するために前記ゲートウェイと前記移動端末との間の通信を、ＩＰｓｅｃと呼ばれる暗号化通信より保護することが考えられる。

ＩＰｓｅｃは、ＲＦＣ２４０１によって規定されており、送信者と受信者の間で安全な通信を行うために共通鍵によってパケットを暗号化・認証化することが可能である。
S.Kent, R. Atkinson, 「Security Architecture for the Internet Protocol」 RFC2401, 1998年11月 J. Laganier, 「draft-ietf-netlmm-mn-ar-if-01.txt 」, 2006年6月

前述したように複数の無線システムを利用して、動的に利用システムを切り替える場合において、移動端末とゲートウェイとの間の経路に暗号化に対応していない基地局や、基地局の暗号化を利用している場合でも基地局の使用者間で同じ暗号鍵情報を利用している場合には、通信内容を容易に傍受することができる。このことを回避するために前記ゲートウェイと前記移動端末との間の通信を、無線システム応じてＩＰｓｅｃと呼ばれる暗号化通信より保護することが考えられる。ＩＰｓｅｃは、ＲＦＣ２４０１によって規定されており、ＲＦＣ２４０１によると、送信者と受信者の間で安全な通信を行うために共通鍵によってパケットを暗号化及び／又は認証化することができる。

一方、第３世代携帯電話に代表されるセルラシステムでは、基地局と移動端末の間の通信は暗号化が必須となっており傍受することは不可能であり、移動端末とゲートウェイ間で暗号化を行うことは必ずしも必要でない。このように、ゲートウェイにおいて動的に通信経路切り替えることにより、無線通信システムを切り替える処理を行っている場合には、消費電力の削減などの観点からセルラシステムを利用している場合には、ゲートウェイ及び移動端末の処理負荷を低減するために、ＩＰｓｅｃを利用せず、無線ＬＡＮなどの傍受の可能性のあるシステムを利用するときには、移動端末とゲートウェイ間のＩＰｓｅｃの暗号化・認証化によるパケットを保護することが考えられる。

ＩＰｓｅｃを利用する場合には、送受信者間暗号及び認証処理に利用される共通鍵や暗号及び認証アルゴリズム、及びアルゴリズムに必要なパラメータ等を予め決めておく必要がある。この取り決めをセキュリティアソシエーション（ＳＡ）と呼ぶ。また、ＩＰｓｅｃ通信を行うノードにはどのパケットに対して適用するかの方針を示すセキュリティポリシーデータベース（ＳＰＤ）が格納され、このポリシーに適合した通信相手と通信を行う場合には上記のＳＡ情報に基づいて認証化及び／又は暗号化される。キュリティポリシーデータベースには、どのパケットに対して暗号化を行うかを示すセレクタと呼ばれる部分がある。セレクタには、たとえばパケットの受信先のＩＰアドレス、送信元のＩＰアドレス、プロトコル種別、受信先のＴＣＰ／ＵＤＰポート番号、送信元のＴＣＰ／ＵＤＰのポート番号やこれらの組み合わせが格納される。

図３にＳＰＤの一構成例を示す。図３の（３０１）は、ＳＰＤ中のエントリの番号を示し、（３０２）は、暗号化を行うパケットの送信元のＩＰアドレスを、（３０３）は、受信先のＩＰアドレスを示す。（３０２）と（３０３）は、単一のＩＰアドレスであってもよいし、ＩＰアドレスの範囲やマスクで示されるアドレスでもよいし、全てのアドレスを示すＡＮＹでもよい。（３０４）は、上位レイヤのプロトコルであり、ＴＣＰ、ＵＤＰ、ＩＣＭＰ等を指定してもよいし、すべてのプロトコルを示すＡＮＹでもよい。（３０５）は、ＴＣＰやＵＤＰを使用した場合の送信元のポート番号であり、（３０６）は、受信先のポート番号であり、単一のポート番号の指定のほかに範囲指定や全てのポート番号を示すＡＮＹなどでもよい。（３０７）は、セキュリティポリシーに基づいて、適用対象になったパケットに対して、ＩＰｓｅｃを適用する、そのまま転送する、廃棄する等の動作を示す。（３０８）は、ＩＰｓｅｃのトランスポートモード、トンネルモードを指定する。

前述したように、ゲートウェイ装置がモバイルアンカーポイントとして動作していると、移動端末が利用する無線通信システムが切り替わった場合にも同じＩＰアドレスを継続して利用することができる。このため、ＩＰｓｅｃを利用する無線システムが存在していると、ゲートウェイ装置又は移動端末内のセキュリティポリシーデータベースには該当端末宛のパケットについてＩＰｓｅｃを適用することを示すエントリがあり、暗号化が不要な経路についても、ＩＰｓｅｃを適用してしまうという課題がある。

さらに、３Ｇシステム等では、無線システムを効率よく使用するために、移動端末と基地局及び／又はゲートウェイ装置との間において、ユーザ毎のセッションに、送受信する音声、ビデオやデータの送受信に使用されるＩＰパケットのヘッダを圧縮するＶＪＥ圧縮やＲＯＨＣ圧縮等が行なわれることがある。しかし、ＩＰｓｅｃを利用すると圧縮の対象となるＩＰパケットのヘッダ部分が暗号化されるために、圧縮処理を行うことが困難になり、無線システムの利用効率が低下してしまう。

また、これを避けるために移動端末とゲートウェイ間で経路を切り替える度に移動端末とゲートウェイのセキュリティポリシーデータベースの該当端末のエントリを削除したり、移動端末とゲートウェイ間でセキュリティポリシーデータベース／セキュリティアソシエーションを削除したりするためのＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）などのシグナリングを動作させた場合、切り替え前に要する処理が発生することから切り替え時間が大きくなり、パケットのジッタや遅延が発生したり、パケットロスが発生する原因となりかねないという問題もある。

本発明の目的は、複数の無線システムを動的に切り替えながら利用可能な無線システムにおいて、移動端末と通信相手の両方に接続されて両者のパケットの中継を行うゲートウェイで、移動端末とゲートウェイ間の通信を安全に行うためのセキュリティの設定を確保することを目的とする。本発明の一形態として、本発明で利用される移動端末には、移動端末とゲートウェイ間の通信経路が変わって変化しないＩＰアドレスが割り当てられ、移動端末とゲートウェイにはセキュリティポリシーデータベース（ＳＰＤ）とセキュリティアソシエーション（ＳＡ）に基づいて移動端末宛及び移動端末発のパケットを、移動端末とゲートウェイ間でＩＰｓｅｃによって暗号化通信を行う機能を有しているものとする。

本発明の無線システムには、移動端末が利用可能な無線システムのリンク状態を各無線システムの基地局で計測し、計測結果を収集する無線状態監視機能と、収集された結果に基づいて移動端末宛のパケットを中継する無線通信システムを決定する無線リンク選択機能を設ける。ゲートウェイ装置は、無線リンク選択機能の決定に基づいて、移動端末宛のパケットを中継する際に参照する経路表に反映し、所定の無線システムを通してパケットが送信されるようにする。

さらに、ゲートウェイ装置は移動端末宛のパケットを送信する無線システムあるいはインタフェースを決定した後に、どのパケットをＩＰｓｅｃで暗号化・認証化するか、そのまま送信するかを決めるためにセキュリティポリシーデータベース（ＳＰＤ）を参照する。ＳＰＤにはどのようなパケットに対して暗号化・認証化を規定している一種のデータベースであり、移動端末あるいはゲートウェイ装置ではパケットの送受信・中継を行う際にはＳＰＤを参照して動作を決定する。本発明を適用するゲートウェイでは従来の図３に示すセキュリティポリシーデータベースのセレクタ部分に、無線通信システムあるいはインタフェースを示す条件を追加した、図４を使用する。従って、移動端末に対応するＳＰＤにはインタフェースに対応した項目が記述されたエントリが存在する。その他にインタフェースに対応した部分を除く他のセレクタ部分が同じで、動作が異なりＩＰｓｅｃを適用しないことを示すエントリが存在する場合もある。

第２の解決手段として、ゲートウェイ装置が移動端末宛のパケットの無線システムで中継するために参照する経路表に対して、セキュリティポリシーデータベースを参照する・しないを示す項目を設ける。ゲートウェイ装置は、ＩＰｓｅｃを使用する無線システムに切り替える場合には、前記の経路表の該当する移動端末宛のパケット経路を該当する無線システムを通るように経路表のエントリを変更する。その際に、セキュリティポリシーデータベースを参照する・しないを示す項目についても参照するように設定する機能を有する。あるいは、経路表に該当端末宛の経路を複数設定できる場合には、ＩＰｓｅｃを利用する経路についてはセキュリティポリシーデータベースを参照する・しないを示す項目についても参照するに設定したエントリが存在し、無線システムを切り替えるために経路表を操作する時には、該当する無線システムを通るように経路表のエントリの到達距離を他のものより短くすることにより実現する。

本発明によると、移動端末と複数の無線システムを経由して通信可能で、移動端末が利用可能な無線システムを動的に切り替えて通信可能な無線システムにおいて、移動端末とゲートウェイ装置間で暗号化・認証化が不要な場合はＩＰｓｅｃを使用せず、暗号化・認証化必要な無線システムを利用する経路時のみ暗号化を行うことが可能となる。これにより、ゲートウェイ装置における暗号化・認証化による負荷の低減、ＩＰヘッダ圧縮の適切な利用が可能となり、無線システムを効率よく使用することできる。

移動端末とゲートウェイ間の通信において、無線システムに対応してＩＰｓｅｃの適用・不適用を切り替えることが可能となり、保護された通信を効率よく提供することが可能となる。

図１は、本発明の実施例を適用した移動通信システムの一構成例である。図１において、（１０１）はゲートウェイ装置であり、移動端末（１０５）と無線ＬＡＮ基地局（１０２）、３Ｇ携帯電話基地局（１０３）、ＷｉＭＡＸ基地局（１０４）など複数の無線システムを利用した経路で接続されて通信可能である。さらに、ゲートウェイ装置は移動端末との通信相手（１０６）とインターネット（１１０）内のルータ（１０７）を経由して接続されており、通信相手からの移動端末宛のパケットを中継する機能を有している。（１０８）は、無線状態監視装置であり、各種の無線の基地局から受信信号強度や信号対ノイズ比、接続端末数、送受信レート、送受信パケット数・バイト数などの無線の状況や品質についての情報を収集することができる。（１０９）は、無線リンク選択機能であり、（１０８）が収集した無線の状況や品質に基づいて、移動端末毎に使用する無線システムを決定し、その結果についてゲートウェイ（１０１）に対して通知する機能を有する。無線状態監視機能（１０８）と無線リンク選択機能（１０９）はそれぞれ独立した装置であってもよいし、ゲートウェイ装置などに内蔵することも可能である。

次に図２を用いてシステム全体の動作について述べる。移動端末（１０５）は、各無線システムのサービスエリア内に入るとゲートウェイ装置と接続を行うことでインターネット（１１０）などに接続された他の端末と通信を行うことが可能となる。ゲートウェイ装置への接続は各無線システムに依存しており、たとえば３Ｇ基地局を経由した場合には、移動端末（１０１）とゲートウェイ（１０３）との間でＰＰＰ（Ｐｏｉｎｔ ｔｏ Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ）によって、ＷｉＭＡＸを利用した場合にはＷｉＭＡＸで使用されるＲ６と呼ばれるインタフェースで、無線ＬＡＮ（１０２）の移動端末（１０２）とゲートウェイ（１０１）との間にＩＰｓｅｃトンネルによって接続される。

まず、移動端末（１０５）は、電源の投入などにより３Ｇのサービスエリアに入ると３Ｇ基地局と無線リンクのセットアップを行い（２０１）、さらにゲートウェイ装置とのＰＰＰのセットアップを行う。ＰＰＰのセットアップでは移動端末に対する認証処理やＩＰアドレスの割り当て処理などが行われる。この後、移動端末（１０５）と通信相手（１０６）は、３Ｇ基地局（１０３）とゲートウェイ（１０１）を介して通信することが可能となる。次に、ＷｉＭＡＸの基地局のサービスエリアに入ると、３Ｇ経由によるゲートウェイへの接続を維持したままＷｉＭＡＸ基地局との無線リンクをセットアップし（２０４）、さらにＡＳＮ−ＧＷとの間で移動端末のパケットを転送するための認証処理を行ってトンネルのセットアップを行う（２０５）。ゲートウェイとの接続が完了すると、移動端末はＩＰアドレスを割り当ててもらうために、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）の処理を開始する。まず、ＤＨＣＰ ＤｉｓｃｏｖｅｒをＷｉＭＡＸの基地局経由でゲートウェイ装置（１０１）に送信し（２０６）、ゲートウェイ装置はＤＨＣＰ Ｏｆｆｅｒ（２０７）で候補となるＩＰアドレスを返す。移動端末は、候補となったＩＰアドレスをＤＨＣＰ Ｒｅｑｕｅｓｔでゲートウェイ装置に割り当てを要求し（２０８）、ゲートウェイはＤＨＣＰ Ｒｅｓｐｏｎｓｅで割り当てを確定する（２０９）。この後、移動端末（１０５）と通信相手（１０６）は、ＷｉＭＡＸ基地局（１０４）とゲートウェイ装置（１０１）を介して通信することが可能となる（２１０）。このときに割り当てられるＩＰアドレスは、３Ｇ基地局を経由で接続したＰＰＰ（２０２）で割り当てたものと同じものを通知する。ＷｉＭＡＸと３Ｇの接続の順が入れ替わった場合も同様に、ＷｉＭＡＸのＤＨＣＰで移動端末に割り当てたＩＰアドレスを、３ＧのＰＰＰのセットアップ中に移動端末に対して割り当てる。

さらに、移動端末は無線ＬＡＮ基地局（１０２）のサービス範囲に入ると、無線ＬＡＮのリンクセットアップを行い（２１１）、ＤＨＣＰなどを利用して無線ＬＡＮ基地局が接続されているネットワークで使用されるローカルなＩＰアドレスを取得する（２１２）。このアドレスは、ゲートウェイ装置（１０１）と移動端末の間のＩＰｓｅｃトンネルの処理やＩＫＥｖ２による鍵交換に利用する。その後、移動端末はゲートウェイ装置との間でＩＰｓｅｃのトンネルを確立するためにＩＫＥｖ２を利用した認証と鍵交換を実施する。まず、ＩＫＥ＿ＳＡ＿ＩＮＩＴ Ｒｅｑｕｅｓｔメッセージ（２１３）とＩＫＥ＿ＳＡ＿ＩＮＩＴ Ｒｅｓｐｏｎｓｅ（２１４）により、移動端末（１０５）とゲートウェイ装置（１０１）の間のＩＫＥ＿ＳＡを確立するためのパラメータの交換及び鍵計算用のパラメータを行う。これに成功すると、以降のメッセージの交換を暗号化し保護することが可能となる。続けて、ＩＫＥ＿ＡＵＴＨ ＲｅｑｕｅｓｔとＩＫＥ＿ＡＵＴＨ Ｒｅｓｐｏｎｓｅメッセージにより移動端末（１０５）とゲートウェイ（１０１）で互いに認証処理を行い、同時にＣＨＩＬＤ＿ＳＡのパラメータ交換とＩＰｓｅｃのトンネルに使用する鍵の計算用のパラメータの交換を行う。その他に、ＩＫＥ＿ＡＵＴＨ ＲｅｑｕｅｓｔとＩＫＥ＿ＡＵＴＨ ＲｅｓｐｏｎｓｅメッセージにはＣｏｎｆｉｇｕｒａｔｉｏｎペイロードと呼ばれるフィールドにより、移動端末にＩｎｔｅｒｎａｌのＩＰアドレスなどを割り当てるなどの各種の設定を行う。Ｃｏｎｆｉｇｕｒａｔｉｏｎペイロードで移動端末に割り当てられるＩｎｔｅｒｎａｌのＩＰアドレスは、３ＧのＰＰＰやＷｉＭＡＸのＤＨＣＰで割り当てたものと同じＩＰアドレスを割り当てるものとする。この後、移動端末（１０５）と通信相手（１０６）は、ＷＬＡＮ基地局（１０２）とゲートウェイ装置（１０１）を介して通信することが可能となる（２１７）。

無線状態監視機能は（１０８）、各無線システムの基地局から受信信号強度や信号対ノイズ比、接続端末数、送受信レート、送受信パケット数・バイト数などの無線の状況や品質についての情報の収集を定期的に行う。（２１８）は、ＷｉＭＡＸ基地局からの収集であり、（２１９）は３Ｇ基地局からの収集であり、（２２０）は無線ＬＡＮ基地局からの収集である。無線リンク選択機能は（１０９）は、無線状態監視機能（１０８）が収集した各基地局からの無線状態の情報を集め（２２１）、移動端末宛にパケットを中継する際に使用する無線システムを決定し、ゲートウェイに通知する（２２２）。ゲートウェイは選択された無線基地局と通るように経路を選択してパケット中継する（２２３）。

この際、どのパケットに対して適用するかの方針を示すセキュリティポリシーデータベース（ＳＰＤ）には、従来例では、図３に示すような形で格納される。（３０１）は、ルールの番号であり、（３０２）はパケットの送信元ＩＰアドレスであり、アドレス単体でも範囲あるいはＰｒｅｆｉｘ長、全てのアドレスを示すＡＮＹで指定してもよい。（３０３）はパケットの受信元ＩＰアドレスであり、アドレス単体でも範囲あるいはＰｒｅｆｉｘ長、全てのアドレスを示すＡＮＹで指定してもよいで指定してもよい。（３０４）は、上位レイヤのプロトコルの指定で、ＴＣＰ、ＵＤＰ、ＳＣＴＰ、ＩＣＭＰや全てのプロトコルタイプを示すＩＣＭＰでもよい。（３０５）（３０６）はそれぞれ送受信ポート番号であり、（３０７）は条件に合致した場合に、パケットに適用する動作を記述し、ＩＰｓｅｃを適用するなどの動作やＩＰｓｅｃの暗号アルゴリズムや認証アルゴリズムなどを設定する。さらに３０８はトンネルなどのＩＰｓｅｃのモードを示す。（３０９）（３１０）は、１０．０．０．１０のアドレスを割り当てた端末のエントリ例であり、（３０９）はゲートウェイ（１０１）に置いて移動端末（１０５）宛のパケットが全てＩＰｓｅｃを適用するエントリであり、（３１０）は移動端末から通信相手に向かうパケットがＩＰｓｅｃを適用されて送られてくること示している。

ゲートウェイ装置（１０１）と移動端末（１０５）が無線ＬＡＮ経由で接続され、ＩＫＥｖ２によって図３に示すエントリが作成されると移動端末宛のパケットの全てにＩＰｓｅｃが適用されてしまう。このため、３Ｇ経由やＷｉＭＡＸ経由で送信する場合にもＩＰｓｅｃが適用されてしまう。この場合、３Ｇなどで無線区間の効率を上げるためにＩＰヘッダの圧縮使用していた場合、ＩＰｓｅｃによってＩＰ／ＵＤＰ／ＲＴＰヘッダが暗号化されてしまうためにＩＰヘッダ圧縮を効率よく行うことができず、無線区間のリソースを無駄に使用したり、３Ｇなどで無線区間が暗号化されているシステムを経由する場合でもＩＰｓｅｃが適用されることにより暗号化・復号化の負荷がＣＰＵにかかることにより電力が消耗し通話時間などが短くなったりするなどの問題が出る。このため本実施例を適用するゲートウェイ装置のセキュリティポリシーデータベース（ＳＰＤ）は、図４に示すような構造をとる。このＳＰＤには、図３に加えてインタフェースあるいは無線システムを示すフィールド（４０１）を追加しており、さらに無線ＬＡＮによるＩＫＥｖ２のネゴシエーションで追加されるＳＰＤとして、無線ＬＡＮ用（４０２）（４０３）に加えて、移動端末が使用中の無線システムの関係するエントリを追加されている（４０４）〜（４０７）。このエントリの動作には、ＩＰｓｅｃを適用しないことを示すＢｙｐａｓｓを指定する。これにより、ゲートウェイ装置は無線ＬＡＮを経由して移動端末にパケットが中継される場合のみ、ＩＰｓｅｃが適用する動作が可能となる。

次に第２の実施例として、図５に示すようにゲートウェイ装置の経路表にセキュリティポリシーデータベース（ＳＰＤ）を参照する・しないを示すフィールドを設けた場合の動作について示す。図５は、本発明を適用したゲートウェイの経路表の一構成例である。（５０３）は、経路表のエントリを示す番号であり、（５０４）はパケットのあて先のＩＰアドレスを示し、（５０５）は（５０４）のＩＰアドレスのマスク長を示し、（５０６）は転送する次のルータのアドレスを示す。（５０７）は、パケットを転送するインタフェースを示し、（５０８）は到達距離を示し、（５０９）はセキュリティポリシーデータベースを参照する・しないを示すフィールドである。エントリ（５０１）は、無線ＬＡＮを使用する場合のエントリであり、（５０９）のセキュリティポリシーデータベースを参照する・しないを示すフィールドは、参照するに設定され、到達距離（５０８）は（５０２）の３Ｇに比べて短く設定されている。（５０２）は、３Ｇを使用する場合のエントリであり、（５０９）のセキュリティポリシーデータベースを参照する・しないを示すフラグは、参照しないに設定されている。この例では、無線システムとして無線ＬＡＮが選択されている状態であり、たとえば３Ｇに経路が変更された場合にはエントリ（５０１）を削除するか、エントリ（５０１）の到達距離（５０８）をエントリ（５０１）より長くなるように変更する。

図６は、図５の経路表を変更するときのゲートウェイ装置の動作を示す。（６０１）は、イベントの種類分けであり、ゲートウェイ装置に移動端末が新たな無線システムを利用した接続かどうかを判断するものであり、新たな無線システムによる接続の場合には（６０２）、図５の経路表に移動端末の経路を追加する。さらに、追加された経路を通してＩＫＥｖ２によってＩＰｓｅｃが利用されている場合には、図５の経路表の該当端末の該当インタフェースに使用するエントリのＳＰＤを参照するフィールド（５０９）をＯＮにする（６０５）。ＩＫＥｖ２によってＩＰｓｅｃの利用がなされていない場合にはＯＦＦにする（６０６）。（６０１）において、新たな無線システムの接続でなく、無線リンク選択機能（１０９）によって利用する無線システムの切り替えた場合（６０７）、ゲートウェイ装置中の経路表の中で該当移動端末宛のエントリで現在使用しているインタフェースを持つエントリの優先順位（６０８）を下げるか削除し（６０８）、さらに該当端末移動端末宛で切替先のインタフェースを持つエントリの優先順位を上げるか追加を行う（６０９）。

図７は、パケットを転送する場合のゲートウェイ装置の動作を示す。（７０１）はパケットの受信処理であり、（７０２）は、受信パケットにエラーがないかどうかをチェックする。エラーがある場合には該当パケットの破棄を行う。（７０３）は、ゲートウェイ装置自宛のパケットがどうかであり、自宛の場合にはゲートウェイ装置内のアプリケーションで処理を行う（７０９）。ゲートウェイ装置自身宛でない場合には、パケットを中継する装置としての処理を行うために、図５の経路表の検索を行い、送信を行う無線システムあるいはインタフェースを決定する（７０４）。その結果、セキュリティポリシーデータベース（ＳＰＤ）を参照する経路の場合には、ＳＰＤを検索し（７０５）該当端末宛でインタフェースも一致するものがあるときには（７０６）、セキュリティアソシエーションの関係に基づいて暗号化・認証化を行うためのパラメータを取得し、ＩＰｓｅｃ処理を実施する。ＩＰｓｅｃ処理を行ったパケットについては、再度経路表を検索し（７０４）、出力インタフェースを決めてパケットの送信を行う（７０８）。

図８はゲートウェイのハードウェア構成例である。（８０１）はＣＰＵであり、（８０２）はメモリであり、（８０４）はネットワークインターフェースである。ネットワークインターフェースは複数存在する。（８０３）はシステムバス／スイッチを示している。ＣＰＵ（８０１）、メモリ（８０２）、ネットワークインターフェースは（８０４）はシステムバス／スイッチ（８０３）を通じて互いに接続されている。ＣＰＵ（８０１）は、メモリ（８０２）に格納されているプログラムによって動作する。ゲートウェイはメモリ（８０２）に移動端末とパケットを保護するためにＩＰｓｅｃ通信を行う場合に使用するセキュリティアソシエーション（８０７）やセキュリティポリシーデータベース（８０６）、パケットを次に転送するための経路表（８０５）などのデータを持つ。

次に第３の実施例として、移動端末（１０５）の振る舞いについて説明する。

図９は、移動端末（１０５）の一構成例であり、（９０１）はＣＰＵであり、（９０２）はメモリであり、（９０４）は無線ＬＡＮインタフェースであり、（９０５）は３Ｇシステムのインタフェースであり、（９０６）はＷｉＭＡＸのインタフェースである。それぞれの無線システムのインタフェースには、各無線システムに応じた信号処理部、ＡＤ／ＤＡ変換部、無線周波数部、アンテナなどから構成され、アンテナを介して基地局（１０２）〜（１０４）と無線通信を行う。（９０３）はシステムバス／スイッチを示している。ＣＰＵ（９０１）、メモリ（９０２）、無線システムインターフェース（９０４）〜（９０６）、ディスプレイインタフェース（９１０）、マイク（９１１）、スピーカ（９１２）、キーボードインタフェース（９１３）等はシステムバス／スイッチ（９０３）を通じて互いに接続されている。ＣＰＵ（９０１）は、メモリ（９０２）に格納されているプログラムによって動作する。移動端末のメモリ（９０２）にゲートウェイ装置（１０１）と通信するパケットを保護するために使用するＩＰｓｅｃ通信のセキュリティアソシエーション（９０９）やセキュリティポリシーデータベース（９０８）、パケットを次に転送するための経路表（９０７）などのテーブルを持つ。（９０４）〜（９０６）の各無線システムのインタフェースは各基地局（１０２）〜（１０４）と通信を行う他に、各無線システムの通信品質を測定する機能を持つ。

移動端末（１０５）のセキュリティポリシーデータベースは、ゲートウェイ装置（１０１）と同様に図４、あるいは図３の同様に格納されている。図４のような構成で格納されている場合には、移動端末（１０５）は無線ＬＡＮを経由してゲートウェイ装置（１０５）にパケットが送信する場合のみＩＰｓｅｃが適用されるように図４中の動作のフィールドにＩＰｓｅｃが設定され、その他の無線システムを利用する場合には動作のフィールドにＩＰｓｅｃが適用されないことを示すＢｙｐａｓｓが設定される。

図３の形をとる場合の移動端末の経路表にはゲートウェイ装置（１０５）と同様に図５の経路表が使用される。このときに、新たな無線システムが接続された場合の動作を図１０に示す。（１００１）は、イベントの種類分けであり、移動端末が新たな無線システムを利用した接続かどうかを判断するものであり、新たな無線システムによる接続の場合には（１００２）、図５の経路表にＤｅｆａｕｌｔ Ｇａｔｅｗａｙの経路として接続されたインタフェースを追加する。さらに、追加された経路を通してＩＫＥｖ２によってＩＰｓｅｃが利用されることがネゴシエーションされた場合には（１００４）、図５の経路表の該当端末の該当インタフェースに使用するエントリのＳＰＤを参照するフィールド（５０９）をＯＮにする（１００５）。ＩＰｓｅｃが利用されない場合にはＯＦＦにする（１００６）。（１００１）において、新たな無線システムの接続でなく、各無線システムの通信品質を測定した結果により送信に使用する無線システムの切り替えた場合（１００７）、移動端末のＤｅｆａｕｌｔ Ｇａｔｅｗａｙのエントリで現在使用しているインタフェースを持つエントリの優先順位を下げるか削除し（１００８）、さらにＤｅｆａｕｌｔ Ｇａｔｅｗａｙを該当する切替先のインタフェースを持つエントリの優先順位を上げるか追加を行う（１００９）。

次に移動端末（１０５）が複数の無線通信システムを利用して通信可能な状態で、パケットを送信する際の動作について図１１を用いて述べる。移動端末は、図２の動作の後に通信相手（１０６）と複数の無線システムとゲートウェイ装置（１０１）を介して送受信することが可能になり、接続されている全ての無線システムから受信可能な状態となる。移動端末（１０５）は、自身に内蔵する無線のインタフェース（９０４）〜（９０６）から各無線システムの受信信号強度や信号対ノイズ比、送受信レート、送受信パケット数・バイト数などの無線の状況や品質についての情報の収集を定期的に行い、接続されている無線システムの中から通信品質のよいもの、例えば受信信号強度の高いものや送受信レートの高いものを選択して送信を行う。移動端末に送信パケットがない場合やアイドル状態を利用して定期的に（１１０１）、各無線システムのインタフェースから無線の状態を検知し（１１０２）、送信に使用する無線通信システムを決定する（１１０３）。この動作は、移動端末（１０５）が単独で実行してもよいし、基地局ネットワーク内の無線状態監視機能（１０８）と無線リンク選択機能（１０９）からの情報や指示に基づいて決定されてもよい。その結果、それまで利用されていた無線通信システムと同じ場合には（１００４）、アイドル状態に戻る。異なる場合にはＤｅｆａｕｌｔ Ｇａｔｅｗａｙを該当する無線システムに変更し（１００５）、ＩＰｓｅｃを使用しない無線通信システムからＩＰｓｅｃを使用する無線通信システムに切り替える場合やその逆の場合には（１１０６）、セキュリティポリシーデータベースの変更処理を行う（１１０７）。（１１０１）において送信するパケットが存在する場合には、図５の経路表の検索を行い、送信を行う無線システムあるいはインタフェースを決定する（１１０８）。その結果、セキュリティポリシーデータベース（ＳＰＤ）を参照する経路の場合には、ＳＰＤを検索し（１１０９）該当端末宛でインタフェースも一致するものがあるときには（１１１０）、セキュリティアソシエーションの関係に基づいて暗号化・認証化を行うためのパラメータを取得し、ＩＰｓｅｃ処理を実施し（１１１１）、出力インタフェースを決めてパケットの送信を行う（１１１２）。

本発明を適用したネットワーク構成図 本発明を適用した移動端末‐ゲートウェイ装置間のシーケンス例 セキュリティポリシーデータベースの従来例 本発明を適用したセキュリティポリシーデータベース 本発明を適用した経路表の構成 無線システムリンクのセットアップ時のフローチャート パケット中継時のフローチャート ゲートウェイ装置の構成例 移動端末の構成例 移動端末の無線システムリンクのセットアップ時のフローチャート 移動端末のパケット送信時のフローチャート

符号の説明

WLAN 無線LAN
３G 第3世代携帯電話
DHCP Dynamic Host Configuration Protocol
IKE Internet Key Exchange
SPD Security Policy Database
SA Security Association

Claims (10)

1. 複数の無線プロトコルを利用可能な移動端末と接続され前記移動端末と、前記複数の無線プロトコルを利用して通信可能なゲートウェイ装置と、前記複数の無線プロトコルのそれぞれに対応した基地局から構成される移動体通信システムであって、
   前記ゲートウェイ装置は、前記移動端末との通信に利用される無線プロトコルに応じて通信経路を変更する場合に、前記移動端末と前記ゲートウェイ装置との間で暗号化又は認証化して通信するか否かを切り替えることを特徴とする移動体通信システム。
2. 請求項１に記載の移動体通信システムであって、
   前記基地局は、移動端末が利用可能な無線プロトコル毎のリンク状態を取得する手段を備え、
   前記ゲートウェイ装置は、前記基地局から取得した前記無線プロトコル毎のリンク情報に基づいて、前記移動端末が利用する無線プロトコルを決定し、該決定された無線プロトコルに応じて通信経路を変更することを特徴とする移動体通信システム。
3. 複数の無線プロトコルを利用して通信可能な移動端末と接続されるゲートウェイ装置であって、
   前記移動端末と通信するパケットを送受信するインタフェースと、
   前記インタフェースを介して前記移動端末にパケットを中継する際に利用される前記無線プロトコル毎に、前記パケットを暗号化又は認証化するかを記述しているセキュリティポリシーデータベースと、を備え、
   前記複数の無線プロトコル毎のリンク情報に基づいて、前記移動端末との通信に利用する無線プロトコルを決定するゲートウェイ装置。
4. 請求項３に記載のゲートウェイ装置であって、
   前記移動端末が利用可能な無線プロトコルが変更される場合には、前記変更される無線プロトコルに対応するセキュリティポリシーデータベースのエントリを追加、削除又は変更することを特徴とするゲートウェイ装置。
5. 請求項３に記載のゲートウェイ装置であって、
   パケットを前記移動端末に中継する際に、該移動端末宛のパケットを前記無線プロトコル毎に、転送先のインタフェース又は転送先のルータを記述した経路情報を保持し、
   前記経路情報には、前記無線プロトコル毎に前記セキュリティポリシーデータベースを参照するか否かを示す情報が含まれること特徴とするゲートウェイ装置
6. 請求項５に記載のゲートウェイ装置であって、
   前記移動端末宛のパケットを、移動端末との間で、交換された鍵に基づいて暗号化又は認証化した無線プロトコルで送信する場合には、前記セキュリティポリシーデータベースを参照し、
   前記移動端末宛のパケットを、移動端末との間で、前記鍵を交換していない無線プロトコルで送信する場合には、前記セキュリティポリシーデータベースを参照しないことを特徴とするゲートウェイ装置。
7. 請求項３に記載のゲートウェイ装置であって、
   前記移動端末宛のパケットのＩＰヘッダを圧縮するヘッダ圧縮部を備え、
   前記暗号化又は認証化をする無線プロトコルを利用して前記パケットを送信する場合は前記ＩＰヘッダの圧縮を行わず、前記暗号化又は認証化を行う無線プロトコルを利用して、前記パケットを送信する場合には、前記ＩＰヘッダを圧縮することを特徴とするゲートウェイ装置。
8. 前記各無線プロトコルに対応した基地局を介して、複数の無線プロトコルを利用して通信可能なゲートウェイ装置と接続され、前記複数の無線プロトコルを利用可能な移動端末であって、
   前記複数の無線プロトコルのリンク状態を計測する手段と、
   該無線プロトコルのリンク状態に基づいて使用される無線プロトコルを選択する手段と、
   前記選択された無線プロトコルに応じて通信経路を決定する手段と、
   前記決定された通信経路に応じて送信されるパケットを暗号化又は認証化するかを切り替えることを特徴とする移動端末。
9. 請求項８に記載の移動端末であって、
   パケットを送信する際に利用される無線プロトコル毎に、前記パケットを暗号化又は認証化するかを記述しているセキュリティポリシーデータベースを備えることを特徴とする移動端末。
10. 請求項９に記載の移動端末であって、
    該移動端末が利用可能な無線プロトコルが変更される場合には、前記変更される無線プロトコルに対応するセキュリティポリシーデータベースのエントリを追加、削除又は変更することを特徴とする移動端末。

Images